Associer les contrôles aux référentiels de conformité

Les réglementations et normes telles que PCI DSS, HIPAA, SOC 2, ISO 27001 et GDPR définissent les exigences applicables à la sécurisation des données.

Pour réussir l’examen comme pour gérer une véritable entreprise, vous devez mettre en correspondance les contrôles AWS avec ces référentiels afin de pouvoir prouver votre conformité aux auditeurs.

La conformité, comme la sécurité, est partagée.

• AWS certifie son infrastructure par rapport à de nombreux référentiels.
• Vous êtes responsable de configurer vos charges de travail de manière conforme au-dessus de cette infrastructure.

Le fait de bénéficier des certifications d’AWS ne rend pas automatiquement votre application conforme.

AWS Artifact est le portail qui donne accès aux rapports et accords de conformité d’AWS.

Vous pouvez télécharger les rapports SOC, les certificats ISO et les attestations PCI, ainsi qu’accepter des accords comme un avenant relatif aux associés commerciaux (BAA) pour HIPAA. Les auditeurs demandent souvent ces documents pour vérifier le volet AWS de la conformité.

AWS Audit Manager collecte continuellement des éléments probants et les met en correspondance avec les contrôles des référentiels.

À l’aide de référentiels prédéfinis pour PCI, HIPAA et d’autres normes, il rassemble automatiquement les éléments probants de configuration et d’activité, transformant la production manuelle et précipitée des rapports de conformité en un processus continu.

Chaque contrôle correspond à une ou plusieurs fonctionnalités AWS. Par exemple :

• Les exigences de chiffrement au repos correspondent à KMS.
• La journalisation des accès correspond à CloudTrail.
• Le principe du moindre privilège correspond à IAM et à Access Analyzer.

La connaissance de ces correspondances est essentielle pour l’examen.

PCI DSS protège les données des titulaires de carte. Sur AWS, vous y répondez au moyen du chiffrement (KMS), de la segmentation réseau (VPC et groupes de sécurité), de la journalisation (CloudTrail et Config) et du contrôle des accès (IAM).

Un ensemble de contrôles de conformité PCI et un référentiel Audit Manager vous aident à démontrer l’application des contrôles techniques.

HIPAA régit les informations de santé protégées. AWS les prend en charge au moyen d’un BAA et d’une liste de services éligibles HIPAA.

Vous devez utiliser des services éligibles, chiffrer les PHI en transit et au repos, et journaliser les accès. Seuls les services éligibles peuvent traiter des PHI dans le cadre de l’accord.

La conformité moderne est continue ; elle ne consiste pas en une préparation précipitée une fois par an.

• Les ensembles de contrôles de conformité de Config vérifient constamment les contrôles.
• Les normes de Security Hub évaluent la posture par rapport à des références.
• Audit Manager rassemble les éléments probants au fil du temps.

Ensemble, ces outils vous permettent d’être prêt pour un audit toute l’année.

Certains référentiels exigent que les données restent dans des régions ou juridictions précises.

Vous imposez la résidence à l’aide de restrictions de région via des SCP, et vous conservez les données dans des régions conformes. L’isolation des régions AWS signifie que les données ne quittent pas une région, sauf si vous les déplacez.

Les normes de sécurité de Security Hub, telles que les bonnes pratiques fondamentales AWS et la référence CIS, sont elles-mêmes des mises en correspondance de contrôles élaborées par AWS.

Chaque contrôle correspond à une bonne pratique reconnue, et le score de conformité indique dans quelle mesure votre environnement s’y conforme. Security Hub constitue ainsi un lien pratique entre la configuration AWS et les attentes des référentiels.

Pour respecter un référentiel : téléchargez les éléments probants AWS depuis Artifact, configurez les charges de travail avec les services correspondants, imposez les vérifications avec les ensembles de contrôles de conformité et Security Hub, puis collectez les éléments probants avec Audit Manager.

La conformité repose sur une architecture et un processus continu.

Trouvez le portail adapté.

Vous avez appris à mettre les contrôles en correspondance avec les référentiels.

• La conformité est partagée : AWS certifie l’infrastructure et vous configurez les charges de travail.
• Artifact fournit les rapports et les accords ; Audit Manager rassemble les éléments probants.
• Les ensembles de contrôles de conformité et Security Hub permettent une conformité continue.